#cp-summary-2025 { all: revert; box-sizing: border-box; width: 100%; background: #f8f9fb; border-left: 3px solid #0d2d4f; border-radius: 0 4px 4px 0; padding: 1.1rem 1.25rem; margin: 0 0 1.75rem; font-family: 'Noto Sans JP', 'Hiragino Kaku Gothic ProN', Meiryo, sans-serif; } #cp-summary-2025 *, #cp-summary-2025 *::before, #cp-summary-2025 *::after { box-sizing: border-box; } /* ヘッダー行 */ #cp-summary-2025 .cp-sum-header { display: flex; align-items: center; gap: .45rem; margin: 0 0 .75rem; padding: 0; border: none; background: none; } #cp-summary-2025 .cp-sum-label { font-size: .65rem; font-weight: 700; letter-spacing: .12em; color: #0d2d4f; text-transform: uppercase; line-height: 1; } #cp-summary-2025 .cp-sum-line { flex: 1; height: 1px; background: #d1d9e0; } /* リスト */ #cp-summary-2025 .cp-sum-list { list-style: none; margin: 0; padding: 0; display: flex; flex-direction: column; gap: .55rem; border: none; background: none; } #cp-summary-2025 .cp-sum-list li { display: flex; align-items: flex-start; gap: .55rem; font-size: .85rem; font-weight: 500; color: #1a2d40; line-height: 1.6; margin: 0; padding: 0; border: none; background: none; } #cp-summary-2025 .cp-sum-list li::before { content: ''; flex-shrink: 0; width: 16px; height: 16px; margin-top: .18em; background-color: #0d2d4f; border-radius: 50%; background-image: url("data:image/svg+xml,%3Csvg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 12 12'%3E%3Cpolyline points='2,6 5,9 10,3' stroke='white' stroke-width='1.8' fill='none' stroke-linecap='round' stroke-linejoin='round'/%3E%3C/svg%3E"); background-repeat: no-repeat; background-position: center; background-size: 10px 10px; } /* スマホ */ @media (max-width: 599px) { #cp-summary-2025 { padding: .95rem 1rem; } #cp-summary-2025 .cp-sum-list li { font-size: .8rem; } }
- 攻撃用コントラクトをマルチシグが再登録
- 被害額は当初推計の約202万ドルから拡大
Base上のボールト不正流出
レイヤー2ネットワークのBase上で4日、運営元不明のボールト（資金を預かり運用するスマートコントラクト）から1,783wstETH（約600万ドル相当）が不正に引き出された。ブロックチェーンセキュリティ企業のペックシールド（PeckShield）が同日夜、Xで被害を報告した。運営元は5日時点で名乗り出ていない。
wstETHは、リキッドステーキング大手リド（Lido）が発行するステーキング済みイーサリアム（ETH）トークン「stETH」をラップしたもの。stETHと異なり残高は日々変動せず、ステーキング報酬の蓄積に応じてETH建ての価値が増えていく仕組みだ。
googletag.cmd.push(function() { googletag.display('div-gpt-ad-1596507297533-0'); });
ホワイトリスト再登録の直後に引き出し
最初に異常を報告したブロックエイド（Blockaid）によると、新たに作成されたコントラクトがボールトのホワイトリストに加えられ、ボールトからaBaswstETHを借り入れて攻撃者のコントラクトへ送った。aBaswstETHは、レンディング大手アーベ（Aave）V3のBase市場にwstETHを預けると発行される預かり証トークン。攻撃者はこれをアーベで償還し、wstETHを手にした。
ボールトの所有者は、7人中3人の承認で操作できるマルチシグ（Safe）だ。セキュリティ企業ExVulが公開したタイムラインによると、このマルチシグが日本時間17時52分に当該コントラクトをホワイトリストから外し、1分後の17時53分に再登録した。いずれの操作にも既存署名者の有効な署名が付いていた。最初の借り入れは再登録から約70秒後に実行された。
被害額は当初の約3倍に拡大
ブロックエイドが18時20分ごろに出した第一報では、約4件の取引で約202万ドルが流出し、攻撃は継続中とされていた。18時56分にはペックシールドが被害額を約600万ドルと報告し、サーティック（CertiK）も同様の警告を出した。
アーベの基盤やBaseネットワーク自体に問題があったことを示す情報はなく、署名者の鍵が流出したのか、署名プロセスが操作されたのかも確認されていない。攻撃者のアドレスは「0x0B5126」で始まり「B034」で終わる。
googletag.cmd.push(function() { googletag.display('div-gpt-ad-1634258516209-0'); });
